Expertos alertan riesgos en la protección de datos en nueva receta electrónica

por Cristóbal Vigneaux D.

La implementación del Sistema Nacional de Receta Electrónica abre un debate clave sobre privacidad, seguridad y responsabilidades legales tras el reciente hackeo al ISP.

La puesta en marcha del Sistema Nacional de Receta Electrónica (SNRE) marca uno de los cambios más profundos en la historia reciente del sistema sanitario chileno. Digitalizar la emisión, almacenamiento y dispensación de recetas promete mayor trazabilidad, reducción de errores y eficiencia. Sin embargo, a pocas semanas de su implementación, el debate ya no gira solo en torno a la modernización, sino a una pregunta más incómoda: ¿están suficientemente protegidos los datos clínicos de millones de pacientes?

La preocupación no surge en el vacío. Hace apenas seis meses, el Instituto de Salud Pública (ISP) sufrió un ciberataque que lo mantuvo paralizado por más de 12 días, sin que hasta ahora exista una explicación pública detallada de lo ocurrido. Ese antecedente ha reactivado las alertas dentro del sector farmacéutico y entre especialistas en derecho informático.

Desde el mundo de las farmacias independientes, la mirada combina apoyo al avance tecnológico con inquietud práctica. El presidente de la Asociación de Farmacias Independientes (AFFI), Héctor Rojas, reconoce que la receta electrónica “es un tema necesario” y que la industria debe adaptarse a los tiempos, pero advierte que concentrar toda la información clínica en una sola plataforma inevitablemente genera riesgos. Rojas plantea que, a diferencia de la receta en papel —archivada físicamente y con bajo incentivo para ser sustraída—, un sistema digital puede ser vulnerado a distancia, sin exposición para quien accede ilegalmente. “El hacker lo puede hacer desde su oficina, sin correr ningún riesgo”, señala, subrayando que esa diferencia no es menor.

Rojas también cuestiona la forma en que se ha diseñado la política pública, afirmando que el sector privado no fue incorporado desde el inicio. A su juicio, esta exclusión explica fracasos anteriores, como el fraccionamiento de medicamentos o la regulación del recetario magistral. “Somos pragmáticos. Estamos detrás del mostrador y conocemos los detalles que después hacen fracasar las normas”, afirma, agregando que la falta de participación termina afectando tanto a farmacias como a pacientes, especialmente cuando se trata de tiempos de atención y confidencialidad.

La inquietud se amplifica cuando se observa el contenido de la información que circulará en el SNRE. La receta electrónica no es solo un dato administrativo: puede revelar enfermedades crónicas, tratamientos oncológicos, diagnósticos de salud mental o terapias de alto costo. Para Rojas, el riesgo no es teórico. Advierte que una filtración podría exponer a pacientes frente a terceros, empleadores o incluso entornos familiares, vulnerando un principio básico del sistema sanitario: la reserva.

Desde el plano jurídico, el análisis es aún más categórico. El abogado y académico Renato Jijena, especialista en derecho informático y protección de datos personales, explica que el SNRE implica necesariamente tratamiento de datos personales y, en particular, datos sensibles, lo que lo hace plenamente aplicable a la Ley N° 19.628. Jijena recuerda que la receta electrónica tiene respaldo legal expreso en el Código Sanitario, modificado por leyes como la N° 20.724 y la N° 21.267, por lo que el sistema está legitimado para operar. Sin embargo, advierte que la legitimación legal no elimina el deber de diligencia extrema en seguridad.

En ese contexto, Jijena sostiene que si se produjera una vulneración del SNRE —como ocurrió con el ISP— podrían concurrir responsabilidades administrativas, civiles e incluso penales, dependiendo del caso. Detalla que el administrador del sistema podría enfrentar sanciones por negligencia; que los afectados podrían demandar si se revelan datos clínicos sensibles; y que los delitos informáticos recaerían sobre quien accede indebidamente a la información.

Uno de los puntos más sensibles es el uso de Clave Única como mecanismo de acceso. Jijena advierte que, aunque es una herramienta ampliamente difundida, su marco legal y técnico presenta debilidades, como la ausencia de autenticación multifactor robusta. A su juicio, esto obliga al Estado a extremar las medidas técnicas y organizativas, alineándose con estándares internacionales como ISO 27001 y 27002, y con la reciente Ley Marco de Ciberseguridad N° 21.663.

El académico es claro en señalar que el sector público no está exento de estas obligaciones. Por el contrario, afirma que los organismos del Estado deben asumir la seguridad de la información con la misma seriedad con que instalan extintores o sistemas de vigilancia física. “Si no se resguarda la confidencialidad, integridad y disponibilidad de los datos, surgirán responsabilidades para los administradores”, advierte, agregando que, a diferencia del sector privado, los servicios públicos siempre deben denunciar las brechas, aun cuando ello implique un costo reputacional.

Sobre si el SNRE cumple actualmente con los estándares necesarios, Jijena es prudente: señala que eso debe auditarse, tanto por la Agencia Nacional de Ciberseguridad como por la Contraloría. Aclara que el hecho de que el reglamento no detalle todos los mecanismos de seguridad no exime al Estado de cumplir las normas generales vigentes, que obligan a actuar con diligencia preventiva.

En el fondo, el debate converge en una idea común entre expertos y farmacéuticos: la confianza. La receta electrónica puede convertirse en un avance histórico si se construye con blindajes reales, accesos acotados, trazabilidad estricta y auditorías permanentes. Pero si esos cimientos fallan, el sistema corre el riesgo de transformarse en un punto débil, donde la modernización tecnológica termine erosionando la relación de confianza entre pacientes, profesionales de la salud y farmacias.

Lo que está en juego, coinciden las voces consultadas, no es solo eficiencia digital, sino la protección de información que las personas no compartirían con nadie más. En salud, recuerdan, la privacidad no es un detalle técnico: es una condición esencial.